Chính sách bảo mật

1. Giới thiệu

Chính sách bảo mật này ("Chính sách") giải thích cách BEST SOLUTION (THAILAND) CO.,LTD. ("chúng tôi", "BestsoGroup") thu thập, sử dụng, tiết lộ và bảo vệ dữ liệu cá nhân của người dùng ("bạn", "người dùng") trên các nền tảng của chúng tôi, bao gồm BestsoGroup.com, sso.bestsogroup.com, account.bestsogroup.com, các ứng dụng di động của chúng tôi và tất cả 50 nền tảng trong hệ sinh thái (gọi chung là "Dịch vụ").

Bằng việc đăng ký hoặc sử dụng Dịch vụ của chúng tôi, bạn chấp nhận và đồng ý với các điều khoản của Chính sách này.

2. Thông tin chúng tôi thu thập

Chúng tôi chỉ thu thập dữ liệu cá nhân cần thiết để vận hành Dịch vụ. Các loại bao gồm:

3. Cách chúng tôi sử dụng dữ liệu của bạn

Chúng tôi sử dụng dữ liệu của bạn cho các mục đích sau:

• Cung cấp Dịch vụ bạn yêu cầu — tạo tài khoản, xử lý đơn hàng, giao hàng hóa/dịch vụ.
• Xác thực và bảo mật tài khoản của bạn (2FA, phát hiện đăng nhập bất thường).
• Gửi thông báo liên quan đến dịch vụ (đặt lại mật khẩu, xác minh email, cảnh báo bảo mật).
• Gửi nội dung tiếp thị và khuyến mãi (chỉ khi bạn đồng ý rõ ràng — bạn có thể hủy đăng ký bất cứ lúc nào).
• Tuân thủ các nghĩa vụ pháp lý, như lưu giữ hóa đơn thuế theo luật kế toán Thái Lan, các yêu cầu AML/KYC.
• Ngăn chặn gian lận, lạm dụng và sử dụng sai mục đích Dịch vụ.
• Phân tích việc sử dụng để cải thiện Dịch vụ (dữ liệu tổng hợp, không định danh).

4. Cơ sở pháp lý cho việc xử lý (PDPA)

Chúng tôi xử lý dữ liệu của bạn dựa trên các căn cứ pháp lý sau theo Mục 24 của PDPA:

• Sự đồng ý — ví dụ để gửi tài liệu tiếp thị.
• Thực hiện hợp đồng — cung cấp Dịch vụ bạn đã đăng ký.
• Lợi ích chính đáng — bảo mật và ngăn chặn gian lận.
• Nghĩa vụ pháp lý — lưu giữ hồ sơ thuế, tuân thủ phòng chống rửa tiền.

5. Chia sẻ dữ liệu của bạn với bên thứ ba

Chúng tôi không bán dữ liệu của bạn, nhưng có thể chia sẻ với bên thứ ba trong các trường hợp sau:

• Các nhà cung cấp dịch vụ thiết yếu — Cloudflare (CDN/Hosting), Railway (máy chủ), Resend (email), ThaiBulkSMS (SMS), các cổng thanh toán (ví dụ Omise, PromptPay).
• Các nền tảng đối tác trong hệ sinh thái BestsoGroup — khi bạn đăng nhập qua SSO, dữ liệu hồ sơ cơ bản (tên, email, ảnh) được chia sẻ với nền tảng con bạn đăng nhập vào.
• Cơ quan nhà nước — theo lệnh của tòa án, lệnh khám xét hoặc yêu cầu hợp pháp từ Cục Thuế, DSI hoặc các cơ quan thực thi pháp luật.
• Chuyển giao doanh nghiệp — nếu công ty được bán hoặc sáp nhập, dữ liệu của bạn có thể được chuyển giao cho bên tiếp nhận (có thông báo trước cho bạn).

6. Chuyển dữ liệu quốc tế

Phần lớn dữ liệu của bạn được lưu trên các máy chủ tại Thái Lan (trung tâm dữ liệu Railway). Tuy nhiên, một số dịch vụ chúng tôi sử dụng (ví dụ Resend, Cloudflare) có thể lưu dữ liệu tại Singapore hoặc Hoa Kỳ. Chúng tôi chỉ chọn các nhà cung cấp có tiêu chuẩn bảo vệ dữ liệu tương đương hoặc nghiêm ngặt hơn PDPA.

7. Lưu giữ dữ liệu

Chúng tôi chỉ lưu giữ dữ liệu của bạn trong thời gian cần thiết:

• Tài khoản đang hoạt động — trong suốt thời gian tài khoản còn mở.
• Tài khoản đã đóng — lưu giữ 90 ngày để cho phép khôi phục, sau đó xóa vĩnh viễn.
• Hồ sơ giao dịch — lưu giữ 10 năm theo luật kế toán và thuế Thái Lan.
• Nhật ký kiểm toán — lưu giữ 7 năm (để ngăn chặn gian lận và điều tra pháp lý).

8. Quyền của bạn với tư cách chủ thể dữ liệu (PDPA Mục 30–37)

Theo PDPA, bạn có các quyền sau:

• Quyền truy cập — yêu cầu một bản sao dữ liệu chúng tôi nắm giữ về bạn.
• Quyền chỉnh sửa — sửa các dữ liệu không chính xác.
• Quyền xóa — yêu cầu xóa (tùy theo giới hạn pháp lý, ví dụ hồ sơ kế toán).
• Quyền hạn chế xử lý — giới hạn cách chúng tôi sử dụng dữ liệu của bạn.
• Quyền phản đối — phản đối việc xử lý trong một số trường hợp.
• Quyền chuyển dữ liệu — nhận dữ liệu của bạn ở định dạng máy đọc được.
• Quyền rút lại sự đồng ý — thu hồi sự đồng ý đã cấp trước đó.
• Quyền khiếu nại với Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC).

Thực hiện quyền của bạn tại account.bestsogroup.com → Bảo mật → Kiểm soát dữ liệu, hoặc gửi email cho DPO của chúng tôi tại privacy@BestSoGroup.com.

9. Biện pháp bảo mật

Chúng tôi sử dụng các biện pháp kỹ thuật và quản trị để bảo vệ dữ liệu của bạn:

• Mật khẩu được băm bằng bcrypt (rounds=12) — mật khẩu thô của bạn không bao giờ được lưu.
• Mọi dữ liệu khi truyền tải đều được mã hóa bằng HTTPS/TLS 1.3.
• Xác thực đa yếu tố (2FA) — hỗ trợ TOTP và SMS OTP.
• Xoay vòng token JWT + danh sách chặn refresh-token khi đăng xuất.
• Nhật ký kiểm toán ghi lại mọi lượt truy cập dữ liệu nhạy cảm.
• Kiểm toán bảo mật nội bộ định kỳ.

10. Cookie và công nghệ theo dõi

Chúng tôi sử dụng cookie để quản lý phiên đăng nhập (cookie thiết yếu — bắt buộc cho Dịch vụ) và có thể sử dụng cookie phân tích để hiểu việc sử dụng (tùy chọn — bạn có thể từ chối) qua các đối tác đã được kiểm duyệt. Bạn có thể quản lý cookie qua cài đặt trình duyệt của mình.

11. Dữ liệu trẻ em

Dịch vụ của chúng tôi được thiết kế cho người dùng từ 18 tuổi trở lên, hoặc những người có sự đồng ý của cha mẹ. Nếu bạn là cha mẹ và tin rằng con bạn đã cung cấp dữ liệu cho chúng tôi mà không có sự đồng ý, vui lòng liên hệ để chúng tôi xóa dữ liệu ngay lập tức.

12. Thay đổi Chính sách này

Chúng tôi có thể cập nhật Chính sách này theo thời gian. Các thay đổi quan trọng sẽ được thông báo trước ít nhất 30 ngày qua email hoặc thông báo trong ứng dụng. Ngày "Cập nhật lần cuối" ở đầu trang này phản ánh phiên bản mới nhất.